التحول الرقمي والأنظمة · 2026-11-01
لائحة أمن المعلومات وكلمات المرور والتحقق والصلاحيات
تصنيف الأصول المعلوماتية وضوابط كلمات المرور والتحقق متعدد العوامل والتشفير والتحديثات والحوادث الأمنية.
معتمدة| رمز الوثيقة | UWC-REG-DIG-03 | الإصدار | 1.0 |
|---|---|---|---|
| جهة الاعتماد | مجلس الجامعة | تاريخ النفاذ | 2026-11-01 |
| الجهة المسؤولة | وحدة تقنية المعلومات والدعم الفني (فريق أمن المعلومات) | ||
| نطاق التطبيق | تسري على جميع الأنظمة والبيانات والأجهزة والشبكات والخدمات السحابية والتطبيقات التي تملكها الجامعة أو تشغلها أو يشغلها مزودون لصالحها، وعلى جميع مستخدميها. | ||
الباب الأول: أحكام عامة
المادة الأولى: يُقصد بالألفاظ الآتية المعاني المبينة أمامها: أمن المعلومات: حماية سرية المعلومات وسلامتها وتوفرها. التحقق متعدد العوامل: إثبات الهوية بعاملين مستقلين على الأقل كالكلمة السرية ورمز مؤقت. الحادث الأمني: كل حدث يهدد أو يمس سرية المعلومات أو سلامتها أو توفرها. الحساب المميز: حساب يملك صلاحيات إدارية في نظام أو في لوحة التحكم.
المادة الثانية: يتولى فريق أمن المعلومات في وحدة تقنية المعلومات وضع الضوابط التقنية وتطبيقها ومراقبتها، ويرفع تقريرًا فصليًا إلى لجنة إدارة المخاطر.
الباب الثاني: الهوية وكلمات المرور
المادة الثالثة: يجب ألا يقل طول كلمة المرور عن اثني عشر حرفًا، وأن تتضمن حروفًا وأرقامًا، وألا تتضمن اسم المستخدم أو بياناته الظاهرة، ولا يُسمح بإعادة استخدام آخر خمس كلمات مرور، وتُفحص كلمات المرور الجديدة مقابل قوائم الكلمات المسربة.
المادة الرابعة: لا تُخزَّن كلمات المرور في الأنظمة إلا مجزأة بخوارزمية تجزئة قوية مع ملح فريد، ولا يجوز إرسالها أو حفظها نصًا صريحًا في أي سجل أو رسالة.
المادة الخامسة: يُقفل الحساب مؤقتًا مدة خمس عشرة دقيقة بعد خمس محاولات دخول فاشلة متتالية، ويُشعر صاحبه بذلك، وتُطبق ضوابط إضافية للحد من المحاولات الآلية.
المادة السادسة: يكون التحقق متعدد العوامل إلزاميًا لجميع الحسابات المميزة وحسابات المنسوبين في لوحة التحكم والبريد والأنظمة المالية والأكاديمية، ومتاحًا اختياريًا للطلاب مع التوصية به.
المادة السابعة: تنتهي جلسة لوحة التحكم تلقائيًا بعد ثلاثين دقيقة من عدم النشاط، وجلسة البوابة بعد ساعتين، ويُطلب إعادة التحقق قبل العمليات الحساسة كتغيير البريد أو كلمة المرور أو تصدير البيانات.
الباب الثالث: الصلاحيات والوصول
المادة الثامنة: تُمنح الصلاحيات وفق مبدأ أقل صلاحية والحاجة إلى المعرفة والفصل بين المهام، وتُدار صلاحيات لوحة التحكم وفق لائحة لوحة التحكم والموظفين والصلاحيات.
المادة التاسعة: لا يُمنح الوصول عن بُعد إلى الأنظمة الداخلية إلا عبر اتصال آمن مشفر يعتمده فريق أمن المعلومات، ومن أجهزة محدثة ومحمية.
الباب الرابع: حماية الأنظمة والبيانات
المادة العاشرة: يُشفر نقل البيانات في جميع الخدمات الإلكترونية باستخدام بروتوكول اتصال آمن، وتُشفر البيانات الحساسة والمستندات الشخصية والنسخ الاحتياطية أثناء التخزين.
المادة الحادية عشرة: تُطبق التحديثات الأمنية الحرجة للأنظمة والخوادم خلال اثنتين وسبعين ساعة من صدورها، والتحديثات المهمة خلال أربعة عشر يومًا، وتُوثق الاستثناءات بموافقة مدير الوحدة.
المادة الثانية عشرة: يُجرى فحص للثغرات الأمنية للموقع والأنظمة المتاحة على الإنترنت مرة كل شهر، واختبار اختراق مستقل مرة كل سنة وبعد كل تغيير جوهري، وتُعالج الثغرات الحرجة خلال سبعة أيام.
المادة الثالثة عشرة: يُحظر رفع بيانات الجامعة السرية أو البيانات الشخصية إلى خدمات سحابية أو أدوات ذكاء اصطناعي غير معتمدة من وحدة تقنية المعلومات.
المادة الرابعة عشرة: تُسجل الأحداث الأمنية وسجلات الدخول في نظام مركزي محمي من التعديل، وتُراجع التنبيهات الحرجة يوميًا.
الباب الخامس: الحوادث الأمنية
المادة الخامسة عشرة: يلتزم كل مستخدم بالإبلاغ فورًا عن أي اشتباه في حادث أمني أو رسالة تصيد أو فقد جهاز عبر الدعم الفني (/support) بأولوية حرجة، ولا يحاول معالجته بنفسه.
المادة السادسة عشرة: يستجيب فريق أمن المعلومات للحادث الحرج خلال ساعة واحدة، ويتخذ إجراءات الاحتواء اللازمة ومنها عزل الأجهزة وتعليق الحسابات، ويُبلغ مسؤول حماية البيانات إذا تضمن الحادث بيانات شخصية.
المادة السابعة عشرة: يُعد تقرير لكل حادث جسيم خلال عشرة أيام عمل يتضمن السبب الجذري والأثر والإجراءات التصحيحية.
الباب السادس: أحكام ختامية
المادة الثامنة عشرة: يُعد الإخلال بأحكام هذه اللائحة مخالفة تستوجب المساءلة وفق لائحة الاستخدام المقبول ولوائح التأديب.
المادة التاسعة عشرة: لمجلس الجامعة تفسير هذه اللائحة وتعديلها، ولوحدة تقنية المعلومات إصدار المعايير الفنية التفصيلية لتنفيذها، وتُعمل بها من تاريخ نفاذها.